Intune-Appschutz für die mobilen Apps
Die iPhone- und Android-App von AI-Public unterstützen Appschutz mit Microsoft Intune (MAM). Ihre Organisation legt dann mit einer App Protection Policy fest, was Mitarbeitende mit Daten in der App tun dürfen, zum Beispiel das Kopieren in nicht verwaltete Apps blockieren oder eine PIN anfordern. Mitarbeitende melden sich in der App mit Mit Microsoft anmelden an; die App meldet sich dabei bei Intune an.
Für die Anbindung verwendet AI-Public die Microsoft-Entra-App HandiHow AI-apps - Intune. Ein Entra-Administrator erteilt dafür einmalig die Zustimmung für die gesamte Organisation.
Was benötigen Sie?
- Ein Entra-Konto mit der Rolle Globaler Administrator oder Administrator mit privilegierter Rolle. Mit dieser Rolle können Sie die Zustimmung für die Intune-Berechtigung erteilen.
- Microsoft Intune mit einer App Protection Policy für die Mitarbeitenden, die die App verwenden.
- Eine AI-Public-Umgebung, in der sich Mitarbeitende mit Microsoft anmelden.
1. Erteilen Sie die Zustimmung über die Verknüpfungsseite
- Öffnen Sie Intune-Appschutz verbinden in einem normalen Browser auf Ihrem Computer.
- Geben Sie die Domäne oder die Directory-(Tenant-)ID Ihrer Organisation ein, zum Beispiel
gemeente.nl. - Wählen Sie In Microsoft zustimmen und melden Sie sich mit Ihrem Administratorkonto an.
- Prüfen Sie die App (HandiHow AI-apps - Intune, Herausgeber HandiHow) und die Berechtigungen und wählen Sie Akzeptieren.
- Microsoft leitet Sie zurück zur Verknüpfungsseite. Dort sehen Sie Zustimmung erteilt oder eine Meldung mit dem Fehlercode.
Die App fordert zwei delegierte Berechtigungen an. Sie funktionieren nur im Namen der angemeldeten Mitarbeitenden:
| Berechtigung | Wofür |
|---|---|
User.Read (Microsoft Graph) | Anmelden und das Profil der Mitarbeitenden lesen. |
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management) | Die App-Schutzrichtlinie der Mitarbeitenden abrufen und die App bei Intune anmelden. |
Verwenden Sie nicht einen separaten Link nur mit adminconsent?client_id=…. Microsoft leitet Sie nach Akzeptieren dann zu einer Adresse weiter, die nur die mobilen Apps öffnen können. Der Bildschirm bleibt dann geladen und Sie erhalten keine Bestätigung. Die Verknüpfungsseite übergibt Microsoft die richtige Rückkehradresse.
2. Prüfen Sie die Zustimmung in Entra
Öffnen Sie im Microsoft Entra-Verwaltungszentrum Enterprise-Anwendungen → HandiHow AI-apps - Intune → Berechtigungen. Unter Administratorzustimmung müssen beide Berechtigungen aufgeführt sein. Dass die App in der Liste der Enterprise-Anwendungen erscheint, bedeutet noch nicht, dass die Zustimmung erteilt wurde.
3. Fügen Sie die App Ihrer App Protection Policy hinzu
Fügen Sie im Intune-Verwaltungszentrum die App der App Protection Policy für die betreffenden Mitarbeitenden hinzu. Wählen Sie bei den Apps Benutzerdefinierte Apps und verwenden Sie:
| Plattform | Paketname oder Bundle-ID |
|---|---|
| Android | info.aipublic.app |
| iOS | info.aipublic.app |
4. Lassen Sie Intune-Appschutz aktivieren
Teilen Sie uns mit, dass Schritt 1 bis 3 abgeschlossen sind. Wir schalten dann Intune-Appschutz für Ihre AI-Public-Umgebung ein. Ab diesem Zeitpunkt melden sich Mitarbeitende in der App über den Microsoft-Broker (Company Portal oder Authenticator) an und die App meldet sich bei Intune an.
Testen Sie anschließend mit einer Mitarbeitendenperson, für die die Richtlinie gilt: Melden Sie sich in der App an, schließen Sie die Intune-Abfragen ab und prüfen Sie eine Richtlinie, zum Beispiel, dass das Kopieren in eine nicht verwaltete App blockiert ist.
Problembehandlung
| Was Sie sehen | Was Sie tun |
|---|---|
Der Microsoft-Bildschirm lädt nach Akzeptieren weiter (login.microsoftonline.com/common/reprocess). | Sie haben wahrscheinlich einen separaten Link ohne Rückkehradresse verwendet. Prüfen Sie die Zustimmung wie in Schritt 2. Fehlt sie, beginnen Sie erneut über die Verknüpfungsseite. |
AADSTS900561: The endpoint only accepts POST requests | Sie haben die Microsoft-Seite aktualisiert, während sie geladen wurde. Dieser Fehler sagt nichts über die Zustimmung selbst aus. Prüfen Sie Schritt 2 und beginnen Sie bei Bedarf erneut über die Verknüpfungsseite. |
access_denied oder consent_required auf der Verknüpfungsseite | Die Zustimmung wurde abgebrochen oder Ihr Konto hat nicht die erforderliche Administratorrolle. Es wurde nichts geändert. Versuchen Sie es erneut mit einem Konto mit der richtigen Rolle. |
AADSTS50011 (Redirect-URI stimmt nicht überein) | Kontaktieren Sie uns und nennen Sie den Fehlercode. |
| Microsoft fordert Mitarbeitende beim Anmelden in der App zur Freigabe durch eine Administratorin/einen Administrator auf (Need admin approval). | Die Zustimmung aus Schritt 1 fehlt in Ihrer Organisation. Erteilen Sie sie nachträglich über die Verknüpfungsseite. |
Wenn es nicht funktioniert, senden Sie uns bitte den Fehlercode, die Fehlermeldung, die Correlation ID und den Zeitpunkt, die Microsoft oder die Verknüpfungsseite anzeigt.